티빙 개인정보 유출 사고 발생, 민관합동조사단 긴급 구성 및 2차 피해 주의보

티빙 개인정보 유출 사고가 지난 1일 신고됨에 따라 과학기술정보통신부는 3일 침해사고 조사 심의위원회를 긴급 개최하고 민간 전문가가 참여하는 합동조사단을 구성해 사고 원인과 규모 파악을 시작했다.

 

티빙 개인정보 유출 경위 및 정부 합동조사단 가동

티빙 개인정보 유출 사고는 신원 미상의 해커가 티빙의 고객 데이터베이스(DB)에 비정상적인 방법으로 접속하여 저장된 파일을 외부로 무단 전송하면서 발생한 것으로 잠정 집계됐다. 과학기술정보통신부(이하 과기정통부)는 이번 사건의 심각성을 고려해 한국인터넷진흥원(KISA)과 함께 즉각적인 자료 보전 조치를 완료했다. 과기정통부 관계자는 “지난 1일 사고 신고를 접수한 직후 초기 대응에 나섰으며, 3일 개최된 심의위원회에서 이번 유출이 사회적 영향이 큰 중대 사고라고 판단했다”고 밝혔다. 이에 따라 정부는 단순 행정 조사를 넘어 민간 보안 전문가와 포렌식 인력이 포함된 민관합동조사단을 운영하기로 결정했다. 조사단은 티빙의 클라우드 서버 관리 체계와 데이터 접근 제어 시스템의 취약점을 집중 분석할 예정이다. 특히 해커가 어떠한 경로로 내부 DB망에 침입했는지, 그리고 개인정보 암호화가 적절히 이뤄졌는지가 핵심 조사 항목으로 꼽힌다. 이와 관련한 자세한 보안 취합 사항은 과학기술정보통신부 공식 보도자료를 통해 순차적으로 공개될 전망이다.

유출된 개인정보 항목과 암호화 적용 범위

티빙이 공지한 유출 항목에는 사용자의 식별이 가능한 다수의 정보가 포함됐다. 아이디, 성함, 생년월일, 성별, 휴대전화 번호, 이메일 주소 등이 대표적이다. 더불어 본인 확인용 식별값인 CI(연계정보)와 DI(중복가입확인정보)도 유출 대상에 올랐다. 환불 계좌번호와 서비스 이용 내역 역시 일부 포함된 것으로 확인됐다. 다만 티빙 측은 주민등록번호와 결제에 필요한 카드 및 통장 비밀번호 등은 원칙적으로 보유하지 않아 이번 유출에서 제외됐다고 설명했다. 또한 유출된 정보 중 비밀번호와 이메일 아이디의 일부, 휴대전화 번호의 마지막 네 자리 등은 암호화 처리가 되어 있어 직접적인 식별은 차단된 상태라고 덧붙였다. 하지만 보안 전문가들은 암호화된 데이터라 하더라도 다른 유출 정보와 조합될 경우 개인을 특정하거나 2차 공격의 수단으로 활용될 수 있다고 경고한다. 특히 CI와 DI는 여러 웹사이트에서 공통으로 사용되는 식별값인 만큼, 타 플랫폼으로의 연쇄 침해 가능성도 배제하기 어렵다는 분석이 나온다.

해커의 DB 접속 방식과 보안 취약점 논란

이번 침해 사고는 전형적인 DB 유출 사례로 분류되나, 대규모 OTT 플랫폼에서 발생했다는 점에서 관리 부실 논란이 불가피할 것으로 보인다. 신원 미상의 해커는 관리자 권한을 탈취하거나 보안 설정이 미비한 클라우드 환경의 빈틈을 파고든 것으로 추정된다. 민관합동조사단은 티빙이 개인정보 보호법에 명시된 기술적·관리적 보호 조치를 충실히 이행했는지 살피고 있다. 만약 DB 접근 제어 정책이 느슨했거나 외부 접속 차단 설정이 미흡했다면 운영사인 티빙은 막대한 과징금 처분과 함께 법적 책임을 질 수 있다. KISA 관계자는 “포렌식 조사를 통해 해킹의 시발점을 찾는 데 주력하고 있다”고 전했다.

스미싱 및 보이스피싱 2차 피해 방지 권고

과기정통부는 이번 유출 사고를 기점으로 대국민 보안 공지를 발령했다. 해커가 확보한 전화번호와 이메일을 활용해 티빙 고객센터를 사칭한 스미싱 문자가 대량 유포될 가능성이 높기 때문이다. 이미 유출된 정보를 바탕으로 정교하게 짜인 피싱 메일은 일반 사용자가 구분하기 매우 어렵다. 정부는 모르는 번호로 발송된 링크(URL) 클릭을 자제하고, 비밀번호를 즉시 변경할 것을 권고하고 있다. 특히 티빙과 동일한 계정 정보를 사용하는 타 서비스의 비밀번호도 함께 교체해야 연쇄적인 피해를 막을 수 있다. 과기정통부는 “개인정보와 금전을 탈취하려는 시도가 우려되므로 사용자의 각별한 주의가 요구된다”고 강조했다. 현재 티빙은 유출 사실을 인지한 사용자들에게 개별 통지를 진행 중이며, 추가 피해 접수를 위한 상담 창구를 운영하고 있다. 합동조사단은 조사가 마무리되는 대로 재발 방지 대책을 마련하고, 보안 체계 강화를 위한 행정 처분 절차를 검토할 방침이다.